Cài đặt nâng cao cho Key Vault
Triển khai bảo mật Azure cho nhà phát triển
Anushika Agarwal
Cloud Data Engineer
Entra ID cung cấp xác thực cho Key Vault
- Bước đầu truy cập Key Vault = Xác thực
- Chứng minh bạn là ai
- Key Vault dùng Microsoft Entra ID để xác thực
Các loại danh tính trong Key Vault
- User: Một người dùng
- Group: Tập hợp người dùng
- Service Principal: Danh tính của ứng dụng hoặc dịch vụ
Phương thức xác thực cho ứng dụng
- Managed Identity (khuyến nghị)
- Không cần secret, do Azure quản lý
- App Registration
- Thiết lập thủ công, cần thông tin xác thực
Ủy quyền trong Key Vault
Sau khi xác thực, ủy quyền xác định bạn được làm gì
Azure có hai mô hình ủy quyền - Access Policies và RBAC
Access policies (cũ)
- Chỉ kiểm soát data plane (bên trong Key Vault)
- Không kiểm soát management plane hoặc ai được quản lý vault
RBAC: Role-Based Access Control (khuyến nghị)
- Kiểm soát truy cập vào
- Management Plane: Bản thân vault
- Data Plane: Keys, Secrets, Certificates
- Hỗ trợ PIM, MFA, Conditional Access
Soft delete
Hiện trạng:
- Mục bị xóa có thể gây gián đoạn lớn
Bật Soft Delete:
- Mục bị xóa chuyển sang trạng thái có thể khôi phục
- Bảo vệ khỏi xóa nhầm hoặc cố ý
Soft delete áp dụng ở đâu?
- Vault
Keys
- Secrets
- Certificates
Cấu hình Soft delete
- Thời gian lưu giữ - 7–90 ngày (mặc định: 90)
- Bật sẵn cho vault mới
- Không thể tắt sau khi cấu hình
Purge protection
- Purge = xóa vĩnh viễn, không khôi phục
- Chặn purge trong thời gian lưu giữ
Ngay cả admin cũng không thể purge
Áp dụng cho cả vault và nội dung bên trong.
Cấu hình Purge protection
- Cấu hình
- Thời gian lưu giữ - 7–90 ngày (mặc định: 90)
- Yêu cầu bật Soft Delete
- Không thể tắt sau khi cấu hình
Thực hành tốt nhất
Thiết kế tách biệt
- Dùng vault riêng biệt
Kiểm soát truy cập
- Chỉ cấp quyền cho người dùng và ứng dụng tin cậy
Giám sát hoạt động
- Bật nhật ký chẩn đoán và cảnh báo
